锐单电子商城 , 一站式电子元器件采购平台!
  • 电话:400-990-0325

差分能量分析介绍(四)

时间:2022-08-14 03:00:01 传感器按能量关

DPA执行(上)

步骤

  • 收集和准备数据
  • 假设使用选择函数生成假设
  • 求平均值
  • 评估

1.数据收集和准备

DPA泄漏可能比一组能量痕迹中的噪声水平要小得多,但更好的信噪比需要更少的能量痕迹。时间通常对评估实验室或对抗环境至关重要,通过提高信号质量,可以缩短恢复密钥的时间。

1.1设备仪表

影响功率测量信号质量的因素很多。例如,在附近加密IC测量位置通常可以改善跟踪。大规模连接多个电源和接地ASIC/SOC可以提供更好的数据路供电输入提供更好的数据。类似地,在板级,去除去耦电容器或使用外部试验级电源可以降低噪声。

虽然电阻与电源线或地线串联是获取能量痕迹的最简单方法,但我们也成功地开发了电池和内部电源的内部电阻。如果直接电源线不可用或质量差,则可使用其他传感器

例如,磁场传感器对较大的集成电路有效。虽然热成像和声学效应被认为是可能的旁路,但由此产生的测量质量可能较低。如果集成电路被屏蔽,则可选择光子发射测量和其他侧通道。

在某些情况下,信号质量受设备工作参数的影响,如电压、温度和时钟频率/波形。在设备运行包线边缘附近运行设备可能会增强泄漏目标或降低某些对策的有效性。

例如,降低输入电压可能会对电压调节器造成压力并增加泄漏。工作台时钟可以减少定期抖动,特别是当与测量设备的采样时钟同步时。使用正弦波时钟可以降低测量中的高频噪声。

对于某些设备,可以控制在给定命令中执行的加密操作的数量,例如通过选择输入信息的长度。由于增加每个跟踪的加密操作数量通常会加快数据收集阶段,因此更多的加密操作命令通常是首选。虽然许多DPA攻击使用随机或任何输入信息(如典型的密文),但选择的输入信息有时会显示额外的泄漏或简化分析。

1.2测量

采用数据采集高速模数转换系统。数字存储示波器非常适合此任务。在选择范围时,有助于合理的内存深度(用于捕获长跟踪)和触发器灵活性(用于帮助在适当的时间开始跟踪捕获)。此外,快速触发重启时间和快速传输速率有助于加快数据采集阶段。(数据采集的最长消耗时间DPA步骤)

根据我们的经验,信号保真和校准并不重要,因为廉价实验室设备引入的失真类型通常不会干扰DPA使用的泄漏信号。虽然采样分辨率在处理相关性很小时似乎很重要,但是DPA主要重点是信噪比,采样误差通常比其他噪声源小得多。

在某些情况下,在A/D有助于在转换前模拟和预处理原始信号。例如,现场供电设备和一些类型EM在分析的情况下,AM或者角度解调步骤有助于隔离感兴趣的信号。简单的带宽限制(许多示波器的一个功能)可以帮助消除不必要的高频伪影。

检查任何数据,以尽量减少收集的无关数据量SPA当加密过程发生时,信号也可能有助于缩小范围。在其他情况下,已知输入和输出位被用作选择函数的初步选择DPA测试可以突出显示加密操作的准确位置。表征设备泄漏的更通用技术是使用基于密码操作中预期中间值的选择函数执行DPA测试。这种已知密钥分析只能在攻击者能够获得已知密钥的设备时进行。这些中间产物的测试有助于识别从实现中泄露的信息。

1.3数据处理

在以数字形式收集记录道后,可以显著改额外的数字信号处理DPA其余部分的过程效率和结果的提高。

能量痕迹对齐是最简单的信号处理技术考时间位置)通常是最简单的信号处理技术。能量痕迹Ti参考能量痕迹T0对齐,采用简单的相关测试来找出使T0[j]和Ti[j d]时间偏移最小化差异(或差异平方)d。有时,需要更复杂的对齐方法。)通常,仔细对齐或同步信号可以减少或消除这些影响。虽然正确的对齐不是DPA成功是必要的,但良好的对齐确实减少了提取密钥所需的能量痕迹数量。

DPA测试可能是一项高度数据密集的任务,特别是在执行大量能量痕迹时,每个能量痕迹都包含大量的测量点。能量痕迹中存在的许多信息DPA测试无用;通常只显示少数能量痕迹偏移DPA信号。一旦特定设备被特征化,除少数重要点外的所有点都可以通过丢弃来大大压缩跟踪。

2.假设使用选择函数生成假设

DPA攻击利用计算某些方面的预测来使用泄漏信息,这取决于密钥的变化。设备状态的许多方面可能会泄漏,例如,当总线或寄存器中单词的值发生变化时,汉明距离会发生变化。真正的泄漏可能非常复杂。在某些设备中,从0到1的转换不同于从1到0的转换。汉明权重和汉明距离模型独立处理比特,但在实际设备中,不同比特的泄漏范围非常不同,可能会进一步调整多比特效应。有些设备有面向字的泄漏,可能与符号、零、溢出或进位等标志有关。

在SASEBO-GII AES当圆形寄存器的字节值为0时,FPGA使用的功耗明显低于平均值。当写入圆形存储时的字节与被覆盖字节的值相同时,它使用的功率甚至更低。对这些效应的了解,通常是通过反复试验发现的,有助于制定选择函数。

        在许多情况下,DPA攻击所针对的秘密常数是圆密钥的可识别部分。在其他情况下,如在计数器模式下使用未知起始计数器分析DES-X、HMAC-SHA或AES时,攻击会恢复一个常数,该常数是多个秘密常数(或密钥)的函数。一次攻击可能需要重复几轮,以恢复足够的机密材料来解决所有密钥。在某些情况下(如HMAC-SHA),分析不会恢复原始密钥,而是生成中间值,使攻击者能够执行与原始密钥相同的操作。    

        选择的消息分析对于公钥算法特别有用。一种常用于公钥算法的策略是仅猜测部分密钥(例如,几个最重要的位)并使用该值预测中间值。最佳预测将提供最接近的密钥近似值,但仍偏离实际中间状态。该方法可以迭代应用,以连续获得更好的近似值,直到知道关键点。

        选择函数的值通常为0/1。在某些情况下,特别是当设备的泄漏特性众所周知时,选择函数可以具有非二进制输出。然后在最后的平均步骤中将该输出用作权重,其中权重可以是零、正或负。这种类型的分析与第节中描述的相关功率分析密切相关。一般来说,当关于设备泄漏的假设成立时,非二进制和多位选择函数可以提高攻击的效率,而二进制、单位选择函数可以在不需要关于多位泄漏的额外假设的情况下使用。

        假设生成阶段的最后一步是计算每条轨迹的每个选择函数的输出。例如,如果256个选择函数试图求解AES密钥的一个字节,则此阶段的输入通常为每条能量迹的密文或明文,输出为每条能量迹的256位向量。

锐单商城拥有海量元器件数据手册IC替代型号,打造电子元器件IC百科大全!

相关文章